世界で広がる個人情報流出と金融資産のリスク｜2026年の事案から個人・企業・政府の責任を整理

※本記事は、2026年11月2日時点で確認できる公表情報にもとづく。調査中の事案は、今後の公表内容で評価が変わる可能性がある。確認された事実は断定で書き、筆者の見方には【分析】、将来の見通しには【予測】を付けた。

はじめに：個人情報は誰が守っているのか

2026年9月25日午前9時7分、カーシェアリング「タイムズカー」を運営するタイムズモビリティは、Webシステムへの外部からの不正アクセスを検知した。同社は10月23日の第5報で、漏えいした会員情報を整理した。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報が外部へ送信された痕跡のあるアカウントは、6,628,007件。対象には、退会済みの会員や、入会を申し込んだが完了しなかった人も含まれる。運転免許証画像などの本人確認書類の画像は、外部送信の痕跡が確認されたものが約146万件（当初は約160万件のおそれとしていた）だった。画像は暗号化して保管していたとして、同社は、将来の復号の可能性は完全には否定できないとしている。クレジットカード情報は漏えいしていない。原因は、Webシステムに存在した脆弱性が悪用されたことだと同社は説明している。^[19][21]

注目したいのは、保有の期間だ。同社は本人確認書類の画像を、会員期間中と退会後7年間、保有していた。目的は、登録時の本人確認や不正利用への対応、問い合わせ対応などだったという。事案を受けて、会員登録の確認が終わったら画像を即時に削除するルールに改め、現在保有している画像は10月末までに削除するとしている。^[20]

【分析】保有には、同社なりの目的があった。ただ、その目的に照らして7年間が必要だったのかは、事案が起きるまで見直されていなかったことになる。流出が起きてから、保有のあり方が問われている。

個人情報は、利用者が差し出し、企業が預かり、政府が制度で見張る。この3者のうち、流出のリスクと責任を、いま誰がどれだけ負っているのか。本記事は、この問いを軸に、世界と日本の現状、金融資産への影響、そして個人・企業・政府がすべきことを整理する。

世界と日本で広がる個人情報流出の現状

流出の統計は、調べている対象がそれぞれ違う。数字だけを見て「増えた」「減った」と決めないよう、先にものさしを整理しておく（図表1）。

【図表1：日本の主な統計が数えているもの】^{[10][8][9][15]}

同じ「漏えい」でも、誤送付まで含む件数、サイバー攻撃だけの件数、漏れた人数と、ものさしは別々だ。件数が減っても、100万人規模の事案が起きれば人数は跳ね上がる。2025年の上場企業の漏えいは、件数が前年より減ったのに、人数は約2倍になった。2026年も、10月5日までに100万件以上の漏えいがすでに10件に達している。^[16]

主な事案を3件に絞って紹介する。

• KDDI（ISP向けメール基盤）：メールアドレス約1,223万件、うち約762万件はパスワードも漏えい（2026年7月6日公表）。^[22]
• アサヒグループHD：約191.4万件（漏えいまたはそのおそれ、2025年11月27日公表）。社長は、通期業績の悪化は避けられないと述べた。^[24][25]
• GMOインターネット「お名前.com デスクトップクラウド」：2026年10月に不正アクセスが発生し、影響の可能性があるサーバーは26,739件。調査中の事案で、経緯、補償、FX自動売買への影響は、当ブログの別記事にまとめている。詳しくはこちらの記事を参照してほしい。

このほか、アスクル（約74万件）、物語コーポレーション（約1,079万件）などでも大型の漏えいがあった。^[26][16]

海外でも、件数は高止まりしている。米国では、2025年に公表された漏えいが3,322件と過去最多だった（ITRC）。^[36]EUでは、個人データ漏えいの通知が1日平均443件に上り、前年から22%増えた（DLA Piper）。^[39]韓国では、EC大手Coupangで約3,755万人の情報が漏れた。ただし、国ごとに報告の範囲や数え方が違うため、単純には比べられない。

【分析】どの統計も、件数は高止まりか増加傾向にある。一方、人数は大型事案の有無で大きく変わる。「件数が減った」ことは、「安全になった」ことを意味しない。

なぜ個人情報流出は繰り返されるのか

原因は一つではない。公的資料などで確認できるものを整理する。

• 外部に公開したシステムの弱点が突かれる。KDDIの事案は、システムの一部に導入していた第三者製ソフトの、ベンダーも把握していなかったゼロデイ脆弱性が悪用された。一部のISPでは5月16日から被害が始まっていたが、KDDIが把握したのは6月17日だった。^[22]タイムズカーも、Webシステムの脆弱性が悪用された。ランサムウェアでは、警察庁の調査で侵入経路の約5〜6割をVPN機器が占めている。^[9]
• 委託先やグループ会社が入口になる。アサヒでは、グループ内の拠点にあるネットワーク機器から、データセンターへ侵入された。^[24]国家サイバー統括室（NCO）も、サプライチェーンを通じた侵害を、複数の事案で確認したとしている（2026年10月9日の注意喚起）。^[17]
• 認証情報の窃取と使い回し。証券口座の乗っ取りは、フィッシングで盗まれたIDとパスワードが使われた（金融庁）。^[3]
• データを持ちすぎる。NCOは、利用目的を終えた情報を速やかに削除し、保有情報を最小化するよう求めている。個情委も同じ10月、不要な個人データの消去が徹底されず、漏えい事案が深刻化した事例があると注意喚起した。^[17][11]
• 人為的なミス。東京商工リサーチの2025年の集計では、誤表示・誤送信が37件（20.5%）、紛失・誤廃棄が18件（10.0%）だった。^[15]
• 発覚が遅れる。KDDIは約1か月かかった。Coupangでは、漏えいが数か月続いたのち、2025年11月に会社が把握した。

【分析】攻撃する側は、「一つの弱点から大量の情報を取る」ことを狙う。守る側は、すべての弱点を同時に塞がなければならない。この非対称な構造が、事案が繰り返される背景にあると考える。

流出した情報は、どのように犯罪に利用されるのか

漏えいと、口座の乗っ取りは、別の事象だ。両者の関係を、図表2で整理する。

【図表2：漏えいから金融被害に至る流れ】

公的資料で、はっきり確認できる被害の経路は「経路B」（証券、ネットバンキング）だ。経路Aについては、個別の漏えいと個別の被害の因果関係を示した公的な資料は、本調査では確認できなかった。

流出した情報は、主に次の形で使われる。

• ランサムウェア（二重恐喝）：盗んだデータを公開すると脅し、対価を要求する。2025年は226件、2026年上半期は123件の被害報告があった。^[8][9]
• フィッシング：漏れた氏名や住所で文面を本物らしくし、ID・パスワード・カード番号を盗む。2025年の報告は2,454,297件で、うち証券会社をかたるものが316,414件。^[8]
• なりすまし：本人確認書類の画像などを使い、不正な契約や口座開設を試みる。生成AIで、顔や書類を偽造する手口も確認されている（後の章で整理する）。

【分析】漏えいした個人情報だけで、証券口座にログインすることはできない。しかし、氏名や住所があれば、フィッシングの文面は本物らしくなる。本人確認書類の画像があれば、非対面の本人確認を突破する材料になり得る。金融庁は10月9日の文書で、本人確認書類の画像を含む顧客情報の漏えいが相次いでいると指摘し、なりすましの手口が巧妙化しているとしている。^[5]「漏えいしたから必ず被害に遭う」わけではないが、被害のリスクは確実に上がる。

銀行・証券・カード・暗号資産、金融資産へのリスク

個人情報の流出は、最終的に、預金や証券などの金融資産への被害につながり得る。分野ごとに、確認できた事実を整理する。

証券口座：何が起きたのか

2025年3月以降、証券会社をかたるフィッシングで盗まれたIDとパスワードによる、証券口座の乗っ取りが急増した。被害の流れは次のとおり。

1. 偽サイトで、IDとパスワードを入力させる。
2. 盗んだIDで、本物の証券口座にログインする。
3. 被害者が持つ株式等を、勝手に売却する。
4. 売却した代金で、国内外の小型株等を買い付ける。被害口座には、買い付けられた小型株が残る。^[3]

警察庁は、2025年11月に、対象株を事前に買い付けたうえで他人の口座から買い付け注文を出して株価を上げ、高値で売って差額を得ていたとして、中国籍の男ら（38）を相場操縦と不正アクセス禁止法違反の疑いで逮捕したと記載している。^[8]

注意したいのは、数字の意味だ。金融庁は、売却金額と買付金額は不正取引の総額で、顧客の損失額とは一致しないと注記している。^[3][4]「被害額7,400億円」と報じられることがあるが、これは損失額ではない。

ここから数字を見る（図表3）。金融庁の月別の集計は、不正アクセス（ログインされた件数）と、不正取引（実際に売買まで行われた件数）を分けて示している。

• ピーク（2025年4月）：不正アクセス5,490件、不正取引3,033件、売却約1,625億円、買付約1,423億円。^[4]
• 2026年9月：不正アクセス37件、不正取引2件まで減った。
• 累計（2025年1月〜2026年9月）：不正アクセス19,252件、不正取引10,642件、売却約4,372億円、買付約3,837億円。^[4]

【図表3：証券口座の不正アクセス・不正取引件数の月別推移】
（2025年1月〜2026年9月、金融庁の2026年10月9日更新分。暫定値）^[4]

件数が大きく減った要因について、金融庁などの公的資料で特定した分析は確認できなかった。金融庁は2025年10月15日に監督指針を改正し、フィッシングに耐性のある多要素認証の必須化を求めた（原則2026年6月末まで）。ただ、不正取引は2025年10月に377件へ戻るなど、減少は一直線ではなかった。

補償については、方針が分かれている（図表4）。

【図表4：証券会社の補償方針（公表・報道）】^{[28][29][30][31][32]}

従来、証券会社の約款には、IDとパスワードが盗用された場合の損害に責任を負わない趣旨の定めがあったと報じられている。今回の補償は、その原則を見直した異例の対応だった。ただし、各社の補償の水準は一律ではない。

銀行：補償は「申し合わせ」と各行の規定

警察庁によると、ネットバンキングの不正送金は、2025年が4,747件・約103億9,700万円で、手口の約9割がフィッシングだった。^[8]2026年上半期は253件・約20億7,000万円で、前年同期から51%減った。^[9]そのほか、法人向けのボイスフィッシング（電話で聞き出したメールアドレスにフィッシングメールを送る手口）や、偽の本人確認書類で携帯電話番号を乗っ取るSIMスワップの手口も報告されている。

補償は、全国銀行協会の2008年2月19日の申し合わせに沿って、各行が定める。ネット銀行の公表では、個人の場合、預金者保護法の趣旨を踏まえ、原則として、銀行へ通知した日の30日前の日以降に行われた払戻しの額が補償の対象となる。^[33]預金者に重大な過失があれば対象外、過失があれば一部減額となる。法人向けは別の申し合わせがある。

クレジットカード：補償期間の「期限」に注意

カードの不正利用被害額は、2025年が約510億円（前年比約9%減）、2026年上半期が約221億円（前年同期比30%減）だった（日本クレジット協会の数字を、警察庁が引用）。^[8][9]補償は、各社の約款による。多くは60日の期限があるが、起算の仕方は会社で違う。たとえば三井住友カードは、申請日から60日前までの利用を対象にしている。^[34]JCBは、利用が載った明細の通知後60日以内の届け出が必要としている。^[35]

暗号資産：取り消せない取引と、追跡の難しさ

民間調査会社のChainalysisによると、2025年に世界で盗まれた暗号資産は約34億ドルで、うち北朝鮮関連が約20.2億ドル（約59%）を占めた。^[47]最大の被害は2025年2月の取引所Bybitで、同社は約15億ドルとしている。個人のウォレットが侵害された事案は、2025年に約15.8万件あり、少なくとも約8万人が被害に遭ったという。

暗号資産の取引は取り消せず、追跡できても資産が戻るとは限らない。警察庁は、2026年上半期に1,307件の追跡依頼に対応した。^[9]

本人確認情報：変えられない情報が流出する

氏名、生年月日、住所、免許証の画像は、パスワードのように簡単には変えられない。金融庁は2026年10月9日、金融機関等に対し、(1)サードパーティリスク管理を含むサイバーセキュリティ対策の点検、(2)非対面の本人確認で、書類画像と容貌画像に不自然な点がないかの再確認、(3)本人確認書類の画像送信を廃止してIC読取に原則一本化する犯罪収益移転防止法施行規則の改正（2027年4月1日施行）への前倒し対応、を求めた。^[5]警察庁は、生成AIを悪用した本人確認書類の作成事例も確認している。

【分析】画像による本人確認が、流出した画像と生成AIの両方で崩されるおそれがある。そのため、ICチップ情報の読取への移行が急がれている、と理解できる。

ここまでの4分野を、1つの表にまとめる（図表5）。

【図表5：金融4分野のリスク比較】

個人ができる具体的な防衛策

個人の注意だけで流出は防げない。だが、被害を減らすためにできることはある。金融庁が示す対策を軸に、優先度が高い順に整理した（図表6）。

【図表6：個人が実施する対策の優先順位】

7の「削除も依頼する」は、タイムズカーの事案で、退会後7年間も画像が保有されていたことが理由だ。退会しても、情報が消えているとは限らない。個人情報保護法は、令和2年改正（2022年4月施行）で、利用する必要がなくなった場合なども、本人が保有個人データの利用停止・消去を請求できるようにした。請求できる場合の要件は、個情委の案内で確認してほしい。

AIに入力しない情報

個情委は2023年6月の注意喚起で、一般の利用者に対し、生成AIサービスでは、入力された個人情報が機械学習に利用されることがあり、他の情報と統計的に結びついて出力されるリスクがあるため、入力する際は、そのリスクを踏まえて判断するよう求めた。^[14]口座番号などは、そもそもAIに入力する必要がない。

情報が流出したと分かったら

落ち着いて、次の順に対応する（図表7）。

【図表7：情報漏えい発覚後の対応フロー】

1. 何が漏れたのかを、公式発表で確認する（氏名・住所だけか、ログイン情報か、免許証画像か）。
2. 同じID・パスワードを使うサービスのパスワードを変更し、多要素認証を設定する。変更は、普段使わない端末から行う。
3. ログイン中のセッションを切断する（サービスが対応している場合）。パスワードを変えても、既存の接続が維持されることがある。
4. 銀行・証券・カードの取引履歴と残高を確認し、身に覚えがなければ、すぐその金融機関に連絡する（補償には期限がある）。
5. 警察に相談する。金融庁の「金融サービス利用者相談室」（0570-016811、平日10〜17時）でも相談できる。
6. 本人確認書類が漏れた場合は、心当たりのない契約や口座開設、請求の通知に注意する（筆者の整理）。
7. 「補償」や「被害回復」を名乗る連絡には応じない。便乗した詐欺の可能性がある。
8. 画面、メール、日時の記録を保存する（補償の申請に必要になることがある）。

サービスごとに適切な対応は異なる。具体的な手順は、各サービスの公式案内を確認してほしい。

企業に求められる情報管理責任

企業は、個人情報を預かることで事業上の利益を得ている。一方、漏えいが起きれば、被害は顧客や取引先に及ぶ。ここでは、「企業は、収集するだけでなく、保有し続けること自体に責任を負うべきではないか」という問いを考える。

保有には、サービス運営や本人確認という目的がある。一方、保有量が増えるほど、漏えい時の影響も大きくなり、その費用は企業にも及ぶ。IBMの2026年の調査（調査対象企業の平均値）では、データ侵害1件あたりの費用は、世界平均で499万ドル、米国平均で1,150万ドルだった。^[38]日本でも、アサヒの社長は通期業績の悪化は避けられないと述べ、KDDIは総務省から行政指導を受けている。^[25][23]

個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去するよう、事業者に努力義務を課している（法令で保存期間が定められている場合を除く）。個情委も2026年10月の注意喚起で、保管データの必要性を確認するよう求めた。^[11]NCOも、利用目的を終えた情報の速やかな削除と、委託先の管理を挙げている。^[17]

【分析】預かって利益を得る以上、保有の継続にも「理由」と「期限」が必要だと考える。タイムズカーは、画像を退会後7年間保有していた。目的は説明されているが、その必要性が問われたのは、漏えいが起きてからだった。「持っている」ことのリスクは、持つ側が先に点検しなければ、利用者が負うことになる。

ランサムウェアの身代金をどう考えるか

ランサムウェア被害では、犯行グループが身代金を要求する。警察庁によると、近年は、データを暗号化したうえで、「対価を支払わなければ盗んだデータを公開する」と迫る二重恐喝が被害の多くを占める。

暗号化せず、データを盗んで公開を予告するだけの手口もある。

払わない場合、被害が広がることはある。GMOは「お名前.com デスクトップクラウド」の事案で、攻撃者の要求に応じない方針を示した。応じても、取得された情報の削除や不正利用の防止が保証されないためだという。攻撃者は予告どおり、2026年10月27日に情報を公開した（GMO第10報。経緯は当ブログの別記事）。アスクルは「攻撃者とは接触せず」と説明し、攻撃者が公開した情報を確認したうえで、流出した個人情報を約74万件と公表した。^[26]アサヒでは、Qilinと名乗るグループが犯行声明を出している。^[24]

払えば止まるのか。警察庁は、被害者に対し、対価の支払いは「犯罪グループ等の活動資金となることが懸念される」こと、「暗号化されたデータの復号が保証されるわけではない」ことを説明している。支払いで情報の非公開や削除が保証されるという根拠は、公的資料では確認できなかった。

【分析】「払えば収まり、払わなければ広がる」という単純な二択ではない。払わなければ公開などの被害が現実になることがあり、払っても復号や削除は保証されない。支払いの前に、できる備えは3つある。

1. バックアップとBCP：被害に遭った組織のBCP策定率は約18%だった（警察庁）。^[8][9]
2. 早めの通報・相談：警察は初動の助言や復号ツールの提供などを行う。国内では、41の被害企業で約2,011万件の被害データを復号できた（2026年上半期）。^[9]
3. 公開された場合の準備：対象者への通知、問い合わせ窓口、フィッシング便乗への注意喚起。

支払うかどうかは、各組織の判断になる。本記事は、支払いを推奨も否定もしない。

中小企業と従業員のAI利用

十分な投資が難しい組織もある。警察庁の調査では、ランサムウェア被害の約6割が中小企業だった。^[8][9]2026年上半期に被害に遭った企業・団体の約6割は、復旧に1,000万円以上を要し、1か月未満で復旧できたのは5割弱にとどまる。

従業員の生成AI利用にも、ルールが要る。個情委は、事業者が本人の同意なく個人データを含むプロンプトを入力し、出力以外の目的で扱われる場合は、個人情報保護法に違反する可能性があるとしている。入力前に、提供事業者が機械学習に使わないことを確認するよう求めている。海外では、サムスン電子が2023年に、社員がソースコードなどをChatGPTに入力したことを受け、社内端末での生成AI利用を制限した（Bloomberg報道）。^[50]

政府に求められる規制・監督・被害者保護

日本、EU、米国の制度を比較する（図表8）。適用範囲、報告期限、制裁、補償は、それぞれ別のものだ。

【図表8：日本・EU・米国の制度比較】^{[12][40][41][42][43][44]}

日本の報告期限は、個情委の通則編ガイドライン（3-5-3-3、3-5-3-4）に記載がある。^[1][2]確報は、知った日を1日目として数え、30日目または60日目が休日などの場合は翌日が期限になる。

海外では、制裁金も大きい。韓国は、Coupangに6,247億ウォン（約4.09億ドル）の制裁金を科した（2026年6月）。^[46]英国のICOは、Capitaに1,400万ポンドを科した（2025年10月）。^[45]

日本の制度は、2026年に動いた。個人情報保護法の改正が7月に成立し、課徴金が導入される（施行は一部を除き公布後2年以内とされる）。^[13][48]10月には、能動的サイバー防御が始まった。^[49]金融庁は、2025年10月の監督指針の改正で、多要素認証の必須化を求めている。

【分析】以下は、筆者の問題提起だ。

• どこまで義務化するか。証券では、多要素認証の必須化が、監督指針で求められた。一方、一般の企業は、NCOや個情委の注意喚起という「要請」の段階にある。義務と推奨の線引きは、業種で異なる。
• 制裁は十分か。個情委の2025年度の実績は、指導・助言455件に対し、勧告2件、命令1件だった。^[10]課徴金は創設されたが、対象は悪質・重大な違反に限られ、運用は施行後に始まる。
• 被害者への補償は十分か。証券の補償は、業界の申し合わせと各社の判断に頼っている。タイムズカーは、画像の外部送信の痕跡があった人に3,000円相当のお見舞いを案内している。^[19]補償の水準は、企業の判断に委ねられている。
• 中小企業への支援は必要か。被害の約6割が中小企業という実態からみて、支援は必要だと考える。公的な相談窓口の整備が進むかが課題だ。

個人情報流出を防ぐことはできるのか

AIで、攻撃と防御はどう変わるのか

AIによって、攻撃も防御も変わりつつある。ここでは、確認された事実と、将来の予測を分けて整理する（図表9）。

【図表9：AIをめぐる攻撃の「確認された事実」と「予測・警戒」】^{[8][9][37][7]}

確認されている事例は、攻撃の準備の効率化や、なりすましが中心だ。攻撃全体の増加がAIによるものだとする統計は、本調査では確認できなかった。警察庁によると、2026年上半期の不審なアクセスは前年同期から51%増えたが、これがAIによるものとは書かれていない。NCOは、2026年10月の一連の漏えい事案について、関連性やAIの悪用は現時点で明らかではないと説明している。^[18]

金融庁・日銀の要請は、フロンティアAI（高度なAI）で、脆弱性の発見から攻撃までの期間が大幅に短縮され得ることが指摘されている、という認識から出ている。同じ文書は、英国AISIの報告として、現時点では、十分に防御されたITシステムに対して攻撃を達成できるとは言えない、とも引いている。そのうえで、基本的な対策をより迅速・着実に実行することが重要だとしている。^[7]

防御にもAIは使われている。警察庁は、2026年2月に、生成AIによるフィッシングサイトの自動判別ツールを導入した。^[9]

それでも、完全には防げない

【分析】完全には防げない。理由は3つある。

1. 外部に公開したシステムは、「いつ攻撃を受けてもおかしくない」（NCO）。^[17]
2. ゼロデイ脆弱性は、ベンダーも把握していない弱点が突かれる。
3. 発覚までに時間がかかり、その間も情報は流れ続ける。

一方で、被害を減らせた例もある。証券口座の不正取引は、2025年4月の3,033件から、2026年9月の2件になった。ランサムウェアも、国際共同捜査で特定のグループの被害は減った。ただし、これは「減らせた」であって、「なくなった」ではない。

まとめ：個人だけに責任を負わせない社会へ

冒頭のタイムズカーでは、退会後7年間も本人確認書類の画像が残っていた。この「持ち続けること」の是非は、個人の注意だけでは防げない領域だ。

個人情報は、一度流出すると取り戻せない。さらに、流出した情報が金融犯罪に使われれば、預金や証券などの資産にまで被害が及ぶ可能性がある。

冒頭の問いに戻る。個人情報を提供することで便利な社会を享受する一方、流出のリスクと責任を、利用者個人だけに負わせてよいのか。

本記事で整理した事実からは、「よくない」と考える。理由は、補償の水準が会社ごとに異なること、銀行は通知日の30日前、カードは60日という期限があり、気づくのが遅れた利用者に不利なこと、本人確認書類のように、利用者が自分では変えられない情報が流出していることにある。

3者に、それぞれの宿題がある。

• 個人：ブックマークからのログイン、パスキー、通知、明細の確認、書類の提供を必要な場面に限ること。
• 企業：保有の理由と期限を決め、不要な情報は削除し、委託先も含めて管理すること。
• 政府：報告と監督の制度、制裁、被害者の補償、中小企業への支援を、実効性のあるものにすること。

2026年の事案は、情報が「流出した後」の対処だけでなく、「持ち続けること」自体を問い直す時期に来ていることを示している。

【免責事項】
・本記事は、2026年11月2日時点で公表されている情報にもとづき、情報提供を目的として作成しています。特定の金融商品の売買や特定のサービスの利用を推奨・勧誘するものではなく、法的な助言でもありません。
・市場価格や統計の数字は変動・改定され、正確性・完全性・最新性を保証しません。補償の可否や内容は、各金融機関・各社の最新の公式案内でご確認ください。
・【分析】【予測】は筆者の見方であり、確認された事実ではありません。
・執筆者は金融商品取引業者ではなく、投資助言業の登録を受けていません。投資判断は自己責任でお願いします。
・FX・先物・CFD・暗号資産の取引は、価格変動などにより損失が生じる可能性があります。